Wat zijn de overwegingen bij het uitbreiden van je ISO 27001 certificering?

Je ISO 27001-certificering uitbreiden is zinvol wanneer je organisatie is gegroeid, nieuwe diensten aanbiedt of aanvullende eisen vanuit klanten of wet- en regelgeving ontvangt. Een scope-uitbreiding betekent dat je bestaande certificaat wordt aangepast om meer processen, locaties of systemen te omvatten. Of je nu contact wilt opnemen of eerst meer wilt lezen, in dit artikel beantwoorden we de meest gestelde vragen over het uitbreiden van je ISO 27001-scope.

Wanneer is het zinvol om je ISO 27001-scope uit te breiden?

Een ISO 27001-scope-uitbreiding is zinvol wanneer de huidige scope niet langer de werkelijke activiteiten van je organisatie weerspiegelt. Dit is het geval als je nieuwe diensten of producten aanbiedt die vertrouwelijke gegevens verwerken, als je nieuwe locaties opent, of als klanten en aanbestedende partijen vragen om een bredere dekking van je certificering.

Andere veelvoorkomende redenen zijn:

• Fusies of overnames waarbij nieuwe bedrijfsonderdelen worden geïntegreerd
• Uitbreiding naar nieuwe markten of sectoren met eigen informatiebeveiligingseisen
• Wettelijke verplichtingen, zoals de NIS2-richtlijn, die een bredere scope vereisen
• Interne beslissing om het ISMS organisatiebreed te implementeren in plaats van per afdeling

Een uitbreiding van de ISO 27001-scope versterkt niet alleen je externe geloofwaardigheid, maar zorgt er ook voor dat je informatiebeveiligingsmanagement aansluit bij de werkelijkheid van je organisatie. Wanneer de scope te smal is, ontstaan er blinde vlekken die risico’s met zich meebrengen.

Wat zijn de meest voorkomende valkuilen bij een scope-uitbreiding?

De meest voorkomende valkuil bij een ISO 27001-scope-uitbreiding is het onderschatten van de impact op bestaande documentatie, processen en risicobeoordelingen. Organisaties denken soms dat een uitbreiding slechts een administratieve aanpassing is, terwijl het in werkelijkheid een volwaardige implementatieslag vraagt voor de nieuwe onderdelen van de scope.

Andere valkuilen die we regelmatig tegenkomen, zijn:

• Onvoldoende risicoanalyse voor de nieuwe scope-elementen, waardoor maatregelen niet aansluiten bij de werkelijke dreigingen
• Vergeten van leveranciersbeoordelingen voor nieuwe ketenpartners die binnen de uitgebreide scope vallen
• Onvoldoende betrokkenheid van medewerkers in de nieuw toegevoegde afdelingen of locaties
• Te ambitieuze tijdplanning, waardoor de audit plaatsvindt voordat de implementatie volledig is afgerond
• Incompleet bijwerken van de Statement of Applicability, waardoor er discrepanties ontstaan tussen de scope en de beheersmaatregelen

Een zorgvuldige voorbereiding en een realistische planning zijn essentieel om deze valkuilen te vermijden. Het loont om de uitbreiding te behandelen als een mini-implementatieproject, met duidelijke verantwoordelijkheden en mijlpalen.

Hoe verloopt het auditproces bij een scope-uitbreiding?

Bij een ISO 27001-scope-uitbreiding voert de certificerende instelling een aanvullende audit uit op de nieuw toegevoegde onderdelen. Dit proces verloopt in grote lijnen vergelijkbaar met de initiële certificeringsaudit, maar is beperkt tot de nieuwe scope-elementen en hun raakvlakken met de bestaande gecertificeerde scope.

Het auditproces bij een scope-uitbreiding bestaat doorgaans uit de volgende stappen:

1. Aanmelding en scopebepaling: Je geeft aan welke nieuwe onderdelen je wilt toevoegen aan de scope en bespreekt dit met je auditinstelling.
2. Documentatiebeoordeling (fase 1): De auditor beoordeelt de bijgewerkte documentatie, waaronder de aangepaste scope-omschrijving, risicoanalyse en Statement of Applicability.
3. Implementatieaudit (fase 2): De auditor toetst op locatie of in de praktijk of de beheersmaatregelen voor de nieuwe scope daadwerkelijk zijn geïmplementeerd en werken.
4. Rapportage en besluit: Op basis van de bevindingen wordt bepaald of het certificaat kan worden uitgebreid. Eventuele tekortkomingen moeten worden opgelost voordat het uitgebreide certificaat wordt afgegeven.

Bij DigiTrust hanteren we een contextgerichte aanpak, waarbij we niet alleen toetsen op conformiteit, maar ook de sterke punten van je organisatie zichtbaar maken. Zo voegt de audit echte waarde toe, ook voor de nieuw toegevoegde onderdelen van je informatiebeveiliging.

Welke documentatie moet je aanpassen bij een uitbreiding van de scope?

Bij een ISO 27001-scope-uitbreiding moet je minimaal de scope-omschrijving, de risicoanalyse en de Statement of Applicability (SoA) aanpassen. Daarnaast moeten alle beleidsdocumenten, procedures en registers die betrekking hebben op de nieuw toegevoegde onderdelen worden herzien of uitgebreid.

De meest kritieke documenten die je moet aanpassen, zijn:

• Scope-document: De formele beschrijving van wat wel en niet onder het ISMS valt
• Risicoanalyse en risicobehandelingsplan: Aangevuld met de risico’s die specifiek zijn voor de nieuwe scope-elementen
• Statement of Applicability: Bijgewerkt met eventuele aanvullende of gewijzigde beheersmaatregelen
• Interne auditplanning: Uitgebreid zodat ook de nieuwe onderdelen worden meegenomen
• Leveranciersregister: Bijgewerkt met nieuwe ketenpartners die relevant zijn voor de uitgebreide scope
• Bewustzijns- en trainingsmateriaal: Aangepast voor medewerkers in de nieuwe onderdelen

Houd er rekening mee dat de documentatie niet alleen op papier moet kloppen, maar ook aantoonbaar in de praktijk moet worden toegepast. Auditors beoordelen altijd de samenhang tussen documentatie en werkelijke uitvoering.

Wat zijn de kosten en doorlooptijd van een ISO 27001-scope-uitbreiding?

De kosten en doorlooptijd van een ISO 27001-scope-uitbreiding zijn afhankelijk van de omvang van de uitbreiding, de complexiteit van de nieuwe onderdelen en de mate waarin de organisatie al voorbereid is. Een beperkte uitbreiding kan binnen enkele maanden zijn afgerond, terwijl een grootschalige uitbreiding naar meerdere locaties of afdelingen meer tijd en investering vraagt.

Factoren die de kosten en doorlooptijd beïnvloeden:

• Het aantal nieuwe medewerkers, locaties of systemen dat binnen de scope valt
• De mate van volwassenheid van de informatiebeveiliging in de nieuwe onderdelen
• De hoeveelheid documentatie die moet worden herzien of opgesteld
• De auditdagen die nodig zijn voor de aanvullende audit

Als vuistregel geldt dat de voorbereidingstijd voor de interne implementatie doorgaans langer is dan de auditdoorlooptijd zelf. Plan voldoende tijd in voor de risicoanalyse, documentatie-update en interne audit voordat je de externe audit inplant. Vraag bij je auditinstelling altijd een specifieke offerte op basis van je situatie, zodat je een realistisch beeld hebt van de investering.

Moet je een nieuwe certificerende instelling kiezen bij een scope-uitbreiding?

Nee, bij een ISO 27001-scope-uitbreiding hoef je niet van certificerende instelling te wisselen. Je bestaande auditinstelling voert de aanvullende audit uit en past het certificaat aan. Overstappen naar een nieuwe instelling is alleen relevant als je bewust kiest voor een andere aanpak of als er andere redenen zijn om de samenwerking te heroverwegen.

Er zijn situaties waarin het overstappen naar een andere certificerende instelling toch een overweging kan zijn:

• Je bent ontevreden over de kwaliteit of betrokkenheid van de huidige instelling
• Je wilt een instelling met specifieke sectorkennis voor de nieuw toegevoegde onderdelen
• De tarieven of serviceniveaus van de huidige instelling sluiten niet meer aan bij je verwachtingen

Als je overstapt naar een nieuwe certificerende instelling, zal die instelling doorgaans een volledige hercertificeringsaudit uitvoeren, ook voor de al gecertificeerde onderdelen. Dit vraagt meer tijd en investering dan een aanvullende audit bij je huidige instelling. Wil je weten wat wij voor jouw organisatie kunnen betekenen bij een ISO 27001-certificering? Neem contact op en we denken graag met je mee over de beste aanpak voor jouw scope-uitbreiding.

Gerelateerde artikelen

• Waar moet een directiebeoordeling bij een NEN 7510 certificering aan voldoen?
• Hoe weet je of de informatiebeveiliging van je organisatie op orde is?
• Wat verplicht de NIS2 richtlijn voor Nederlandse bedrijven?
• Wat doe je als je al gecertificeerd bent maar niet tevreden bent over de certificerende instelling?
• Hoe bereid je je voor op hercertificering?